Итальянский гарант защиты персональных данных: уведомление компании за нарушение правил обработки персональных данных

Provvedimento del 14 luglio 2026 [10292514]

g-docweb-display Portlet

Home Provvedimenti Ammonimento Provvedimento del 14 luglio 2026 [10292514]

Provvedimento del 14 luglio 2026 [10292514]

Ascolta

Menù azioni

Stampa Stampa e-mail facebook linkedin twitter

Ascolta

Stampa Stampa

Condividi e-mail facebook linkedin twitter

[doc. web n. 10292514]

Provvedimento del 14 luglio 2026

Registro dei provvedimenti

n. 541 del 14 luglio 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e il dott. Luigi Montuori segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTO il reclamo presentato dalla sig.ra XX ai sensi dell’art. 77 del Regolamento con cui è stata lamentata una violazione della disciplina in materia di protezione dei dati personali da parte di Arredissima Verona s.r.l.;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il prof. Pasquale Stanzione;

PREMESSO

1. Il reclamo nei confronti della Società e l’avvio dell’attività istruttoria.

Con il reclamo presentato in data 10/11/2023, regolarizzato il 19/04/2024, la sig. XX, tramite il proprio legale Avv. XX, lamentava una violazione della disciplina in materia di protezione dei dati personali da parte di Arredissima Verona s.r.l. (di seguito “la Società”), ex datore di lavoro.

In particolare, la reclamante rappresentava di essere venuta a conoscenza di accessi indebiti effettuati da parte di un’altra dipendente dell’azienda sul proprio account di posta elettronica personale (che inavvertitamente aveva lasciato accessibile sulla postazione aziendale) e, pertanto, rivolgeva alla Società un’istanza di esercizio dei diritti ai sensi dell’art. 15 del Regolamento, con cui chiedeva anche di ricevere ogni informazione riguardo al data breach occorso (istanza del 15/11/2022).

Con il riscontro datato 23/11/2022, la Società richiamava il Regolamento per l’utilizzo degli strumenti informatici, adottato dall’azienda, per contestare alla reclamante l’utilizzo e l’accesso ad account personali tramite strumenti aziendali e, con riguardo all’istanza di accesso, rinviava all’informativa sottoscritta dalla dipendente al momento dell’assunzione, recante le informazioni sui processi di acquisizione, trattamento e conservazione dei dati.

A fronte della richiesta dell’Autorità di fornire osservazioni in ordine ai fatti oggetto di reclamo, nonché dell’invito ad aderire all’istanza di esercizio dei diritti avanzata dalla reclamante (nota del 05/09/2024) la Società forniva il proprio riscontro con nota del 25/09/2024, informando la reclamante che:

- “in ossequio all’art. 15(3) GDPR Le forniamo una copia dei Suoi dati personali di cui può prendere visione ed eventualmente effettuare il download. A tal riguardo, in ragione delle dimensioni e dell’elevato numero dei files abbiamo provveduto a caricare la documentazione all’interno di una cartella temporanea sulla piattaforma aziendale Microsoft Sharepoint a cui potrà accedere seguendo le relative istruzioni che riceverà con separato messaggio al suo indirizzo di posta elettronica XX. Qualora dovesse incontrare dei problemi nell’accesso alla cartella la invitiamo a contattare nei consueti orari di ufficio il nostro supporto informatico alla seguente e-mail: XX;

- rispetto all’accesso effettuato da una propria dipendente alla casella di posta elettronica personale della reclamante, “si ribadisce anche in questa sede come Arredissima non ha richiesto, acconsentito e/o avvallato l’accesso alla Sua casella e-mail da parte della Sig.ra XX la quale ha agito in via del tutto autonoma ed indipendente né tantomeno, a seguito di ciò, è venuta in possesso e/o ha trattato le informazioni a Lei riferite presenti all’interno del suddetto account di posta”, contestandole invece un utilizzo degli strumenti aziendali contrario alle regole aziendali.

La reclamante, con nota del 09/12/2024, faceva pervenire le proprie osservazioni, segnalando in primo luogo che “non risulta pervenuta (…) alcuna comunicazione e-mail da parte della Società (…), finalizzata alla condivisione di copia dei dati personali dell’allora lavoratrice all’interno di una cartella temporanea su piattaforma aziendale Microsoft Sharepoint, com’era stato, di contro, prospettato dal datore di lavoro nella succitata comunicazione”.

In secondo luogo, osservava che l’accesso alla propria casella di posta elettronica personale era stato effettuato da una collega che “ha agito secondo le direttive ed indicazioni della Società, (…) con precisi obblighi di controllo e vigilanza a suo carico, anche in punto di tutela della privacy e riservatezza dei lavoratori, che risultano purtuttavia violati”.

2. L’avvio del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori.

Alla luce di quanto emergeva dall’istruttoria, l’Ufficio provvedeva a notificare alla Società, con nota del 03/03/2025, l’atto di avvio del procedimento, ai sensi dell’art. 166, comma 5, del Codice in relazione alla violazione degli artt. 12, par. 3, e 15 del Regolamento, in considerazione del mancato riscontro all’istanza di esercizio dei diritti formulata dalla reclamante.

L’Ufficio, invece, non ravvisava profili di violazione della disciplina in materia di protezione dei dati personali in capo alla Società, relativamente all’accesso effettuato da un terzo non autorizzato sull’account personale di posta elettronica della reclamante.

Al riguardo infatti, contrariamente a quanto è stato rappresentato nel reclamo, non risulta in atti che gli accessi indebiti alla casella di posta elettronica personale siano stati effettuati sulla base di “direttive ed indicazioni della Società”, “con precisi obblighi di controllo e vigilanza a suo carico”. Piuttosto, come risulta anche dalla trascrizione della conversazione avuta con la collega (all. 9 alla nota di replica del 09/12/2024), emerge che quest’ultima abbia letto, di propria iniziativa, i messaggi di posta elettronica, riferendone il contenuto al datore di lavoro (“Assolutamente so di aver sbagliato. Ti chiedo scusa. Ho fatto un errore. Assolutamente mi dispiace, prendo le mie responsabilità. Ho letto qualcosa, non volevo leggere qualcosa di privato” (…)”).

Nella trascrizione della conversazione, si legge infatti che alla domanda della reclamante se fosse stato il datore di lavoro a dirle di tenere sotto controllo la sua posta elettronica, la collega ha risposto negativamente.

Non emerge pertanto una responsabilità diretta della Società nell’operazione di trattamento appena descritta, tenuto conto, tra l’altro, che non risulta provato che la Società, una volta ricevute tali informazioni, le abbia poi utilizzate per arrecare un danno all’interessata.

La Società, con e-mail del 20/03/2025, trasmetteva la password utile ad accedere al contenuto della cartella ¬contenente i dati e le informazioni personali richieste dalla reclamante.

Con successiva comunicazione del 02/04/2025, la Società inviava le proprie memorie difensive, ai sensi dell’art. 18 della legge n. 689/1981, con cui sosteneva la liceità della propria condotta.

Ciò in quanto, dopo aver ricevuto l’invito ad aderire alle richieste della reclamante (nota dell’Ufficio del 05/09/2024), provvedeva a trasmettere, nel termine prescritto nella suddetta nota, il proprio esaustivo riscontro. Inoltre, produceva in atti l’e-mail del 25/09/2024, inviata alla reclamante con il link utile ad accedere alla cartella contenente tutti i file contenenti i suoi dati personali (all. 6 alla memoria difensiva).

Per cui, secondo la Società, “E’ documentalmente provato che Arredissima Verona S.r.l., nel rispetto del termine di cui all’art. 12, par. 3 del Regolamento: ha comunicato alla [reclamante] le categorie dei dati personali trattati, le finalità e le modalità del trattamento, i suoi destinatari ed il periodo di conservazione (cfr. tabella pag. 2 e 3 – documento 03); ha fornito le informazioni dettagliate richieste riguardo alla gestione dei “data breach”, contestando il contenuto della “memoria integrativa autorizzata” datata 18.04.2024 (cfr. pagg. da 4 a 8 – doc. 03); ha predisposto la cartella (…) da condividere con la reclamante, ove ha collocato tutti i files contenenti i suoi dati personali (cfr. doc. 05);- ha inviato alla reclamante tramite l’e-mail, il link per poter accedere alla cartella (…) (cfr. doc. 06);- ha invitato la reclamante a prendere contatti diretti con il supporto informatico di Arredissima all’indirizzo e-mail (…) in caso di eventuali problemi informatici (cfr. doc. 03)”.

La Società ribadiva come la condotta fosse stata improntata al rispetto dei principi di correttezza e buona fede, soprattutto in considerazione del fatto che “proprio al fine di evitare eventuali e non prevedibili problemi informatici, avesse fornito alla Sig.ra Schivano l’indirizzo di posta elettronica del proprio supporto informatico, invitandola a contattarlo in caso di eventuali problematiche”, laddove invece, la reclamante “non ha fornito alcuna prova non solo della mancata ricezione della predetta e mail, ma nemmeno di avere, come indicato dalla società, preso contatti con il supporto informatico di Arredissima Verona S.r.l.”.

3. L’esito dell’istruttoria e del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori.

3.1. Il quadro normativo applicabile.

In materia di esercizio dei diritti, l’art. 15, parr. 1 e 4, del Regolamento stabilisce che “l’interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l’accesso ai dati personali e [a talune] informazioni” indicate in tale articolo; inoltre, “il titolare del trattamento [è tenuto a fornire] una copia dei dati personali oggetto di trattamento”.

Quanto alle modalità con cui riscontrare le istanze di esercizio dei diritti, l’art. 12, par. 3, del Regolamento prevede che “il titolare del trattamento [debba fornire] all’interessato le informazioni relative all’azione intrapresa riguardo a una richiesta ai sensi degli articoli da 15 a 22 senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa”, e che, se non ottempera alla richiesta dell’interessato, il titolare del trattamento debba informare “l’interessato senza ritardo, e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell’inottemperanza e della possibilità di proporre reclamo a un’autorità di controllo e di proporre ricorso giurisdizionale” (art. 12, par. 4, del Regolamento).

Se le richieste dell'interessato “sono manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, il titolare del trattamento può […] b) rifiutare di soddisfare la richiesta. Incombe al titolare del trattamento l’onere di dimostrare il carattere manifestamente infondato o eccessivo della richiesta” (art. 12, par. 5, del Regolamento). Il titolare è tenuto ad adottare “misure appropriate per fornire all’interessato tutte le […] comunicazioni di cui agli articoli da 15 a 22 […]” (art. 12, par. 1, del Regolamento)

3.2. Violazione degli artt. 12, par. 3, e 15 del Regolamento.

All’esito dell’esame della documentazione prodotta e delle dichiarazioni rese all’Autorità nel corso del procedimento, premesso che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell’art. 168 del Codice (“Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”), risulta accertato che la Società, in qualità di titolare del trattamento, ha omesso di fornire riscontro all’istanza di esercizio dei diritti formulata dalla reclamante ai sensi dell’art. 15 del Regolamento, nel termine previsto dall’art. 12, par. 3, del Regolamento stesso.

In particolare, in base agli elementi acquisiti nel corso dell’attività istruttoria, nonché delle successive valutazioni svolte dall’Ufficio è emerso che, a fronte dell’istanza di esercizio dei diritti avanzata dalla reclamante in data 15/11/2022, la Società abbia fornito un riscontro meramente formale mediante il mero rinvio al testo dell’informativa per quanto concerne le modalità dei trattamenti dei dati personali posti in essere.

Nel riscontro del 22/11/2022, dunque, la Società non consentiva l’accesso ai dati personali dell’interessata, trattati e conservati nell’ambito del rapporto di lavoro, nonostante l’istanza fosse stata formulata in modo preciso e circostanziato, con la richiesta di conoscere le finalità del trattamento, le categorie di dati trattati, il periodo di conservazione degli stessi e la loro origine, oltre alle informazioni sull’accesso effettuato sul proprio account di posta elettronica da parte di una collega.

Soltanto a seguito dell’avvio dell’istruttoria da parte dell’Autorità, la Società provvedeva a fornire all’interessata le informazioni richieste, mettendole a disposizione un link per accedere direttamente a una cartella condivisa in cui erano stati raccolti tutti i dati a lei riferiti.

Aldilà quindi della circostanza che la e-mail con la password da inserire per accedere alla suddetta cartella fosse stata o meno ricevuta dall’interessata, si precisa come la violazione dell’art. 12, par. 3, del Regolamento si riferisce proprio alla mancata consegna della documentazione richiesta con l’istanza del 15/11/2022 e non, come erroneamente ritenuto dalla Società, al mancato riscontro all’invito dell’Autorità.

Come è stato chiarito nelle Linee guida n. 1/2022 sui diritti degli interessati, adottate dall’EDPB il 28/03/2023, “L’accesso ai dati personali è il secondo elemento del diritto di accesso ai sensi dell'articolo 15, paragrafo 1, e costituisce il nucleo centrale di questo diritto”, per cui “per accesso ai dati personali [si intende] l’accesso ai dati personali effettivi, non solo a una descrizione generale dei dati né a un mero riferimento alle categorie di dati personali trattati dal titolare del trattamento” (par. 2.2.1.2).

In proposito, si rammenta che il diritto riconosciuto all’interessato di accedere ai propri dati oggetto di trattamento nonché alle informazioni previste dall’art. 15 del Regolamento, in applicazione dei principi di trasparenza e correttezza (art. 5, par. 1, lett. a) del Regolamento), non può ritenersi soddisfatto attraverso il mero rinvio a quanto contenuto nell’informativa sul trattamento dei dati di cui agli artt. 13 e 14 del Regolamento, senza alcun riferimento al trattamento effettuato nel concreto (sul punto si veda anche il provv. n. 403 del 14/09/2023, doc web n. 9936174).

Pertanto, deve confermarsi che la condotta della Società è avvenuta in violazione dell’art. 12 del Regolamento, con riferimento alle modalità con cui il titolare deve fornire riscontro alle istanze di esercizio dei diritti, con particolare riferimento ai par. 3 e 4, laddove è previsto che il riscontro sia reso “senza ritardo” anche nel caso di rifiuto, indicando i motivi dell’inottemperanza.

4. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ai sensi dell’art. 58, par. 2, del Regolamento.

Alla luce di quanto complessivamente rilevato, l’Autorità ritiene che le dichiarazioni, la documentazione e le ricostruzioni fornite dal titolare del trattamento nel corso dell’istruttoria non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e che risultano pertanto inidonee a consentire l’archiviazione del presente procedimento, non ricorrendo peraltro alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Il trattamento posto in essere dalla Società, con riferimento al mancato riscontro all’istanza di esercizio dei diritti presentata dalla reclamante, risulta illecito, nei termini sopra esposti, in relazione agli artt. 12, par. 3, e 15 del Regolamento.

Preso atto di tutti gli elementi acquisiti nel corso dell’istruttoria, in particolare, tenuto conto del carattere colposo della violazione, dell’assenza di precedenti violazioni pertinenti e della condotta complessivamente tenuta nel corso del procedimento, in particolare della circostanza che, nel corso del procedimento, è stato fornito riscontro all’istanza di esercizio dei diritti dell’interessata, si ritiene che il caso possa essere qualificato come “violazione minore” ai sensi dell’art. 83, par. 2 e cons. 148 del Regolamento.

Tenuto inoltre conto che, ai sensi del considerando 148 del Regolamento, “in caso di violazione minore o se la sanzione pecuniaria che dovrebbe essere imposta costituisse un onere sproporzionato per una persona fisica, potrebbe essere rivolto un ammonimento anziché imposta una sanzione pecuniaria”, si ritiene sufficiente ammonire il titolare del trattamento ai sensi dell’art. 58, par. 2, lett. b), del Regolamento.

Si rappresenta, inoltre, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante ha provveduto ad aderire all’istanza di esercizio dei diritti dell’interessata.

TUTTO CIÒ PREMESSO, IL GARANTE ai sensi degli artt. 57, par. 1, lett. f) e 83, del Regolamento, rileva l’illiceità del trattamento effettuato da Arredissima Verona s.r.l., in persona del legale rappresentante pro tempore con sede in San Martino Buon Albergo (VR), viale del Lavoro n. 56, P.I. 03629090238, nei termini di cui in motivazione, per la violazione degli artt. 12, par. 3, e 15 del Regolamento;

ai sensi dell’art. 58, par. 2, lett. b) del Regolamento ammonisce Arredissima Verona s.r.l., quale titolare del trattamento, per aver effettuato un trattamento di dati personali in violazione della disciplina in materia di protezione dei dati personali;

DISPONE ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019 la pubblicazione del presente provvedimento sul sito internet del Garante;

ai sensi dell’art. 17 del regolamento del Garante n. 1/2019, ricorrendone i presupposti, l’annotazione nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u), del Regolamento delle violazioni e delle misure adottate ai sensi dell’art. 58, par. 2, del medesimo Regolamento.

Ai sensi dell’art. 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 14 luglio 2026

IL PRESIDENTE

Stanzione

IL RELATORE

Stanzione

IL SEGRETARIO GENERALE

Montuori

Scheda

Doc-Web

10292514

Data

14/07/26

Argomenti

Lavoro privato

Tipologie

Ammonimento